近年注目を集める「能動的サイバー防御」とは？

近年、国家の関与が強く疑われる大規模なサイバー攻撃で日本の企業・組織が被害を受けるケースが相次いでおり、日本政府も警戒を強めています。また今後は生成AIを悪用した高度なサイバー攻撃が増えてくることも予想されており、公共機関やインフラを狙った攻撃にはさらなる警戒が必要だと言われています。

そんな中、政府は国家安全保障の観点からサイバー攻撃の被害を未然に防ぐために、サイバー攻撃を受ける前にその脅威を未然に排除する「能動的サイバー防御」を提唱するようになりました。現在そのための法整備が進められており、近いうちに正式に法制化されると見られています。

この方針に対して「憲法が定める『通信の秘密』に抵触するのでは？」との批判もある中、政府は2024年衆議院予算委員会において「憲法第12条第13条の規定からして、公共の福祉の観点から必要やむを得ない限度において一定の制約に服すべき場合がある」との答弁を行っており、法解釈上の課題も徐々にクリアになりつつあります。

今なお自衛隊法等の解釈を巡っては議論があり、法改正の必要性も指摘されていますが、いずれにせよ今後「能動的サイバー防御」は我が国のサイバーセキュリティを語る上で極めて重要なキーワードになるでしょう。

「アクティブサイバーディフェンス」のそもそもの由来は？

なお「能動的サイバー防御」とほぼ同義の言葉に「アクティブサイバーディフェンス（ACD）」があります。NICT（国立研究開発法人情報通信研究機構）で主席研究員を務める伊東寛氏によれば、これは軍事用語の「アクティブディフェンス」に由来するといいます。

「戦争の歴史を振り返ると、これまで時代の変遷とともに『攻撃側有利』『防御側有利』の状況が交互に到来しています。ちなみに現代戦では、多数の戦車を投入して敵の防御線を一点突破できる攻撃側が圧倒的に有利だと言われおり、これは現代のサイバーセキュリティの世界で『攻撃側が圧倒的に有利』と言われている状況と重なります。しかしリアルの軍事の世界では『アクティブディフェンス』という考え方を新たに導入することで、攻撃側有利の状況をときに覆すことができるとも言われています」

軍事の世界における「アクティブディフェンス」とは、防御の全面に渡って相手の攻撃を完璧に防御することを目指すのではなく、戦闘時に敵主力に対して能動的に攻撃を仕掛けて、これを破砕することで結果的に防御の目的を達成するという考え方を指します。

これと同様の考え方を国家のサイバー戦略に取り入れたのが能動的サイバー防御であると考えることも可能で、政府ではこれを「武力攻撃には至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃の恐れがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するための活動の諸々」と定義しています。

能動的サイバー防御には「被害報告の義務化」が不可欠

なお伊東氏はかつて陸上自衛隊においてサイバー戦部隊の初代隊長を務めるなど、長年に渡って自衛隊の幹部として国家安全保障や軍事の観点からサイバーセキュリティに関わってきました。退官後は自衛隊での経験を生かして、国や民間におけるサイバーセキュリティ関連の要職の数々を歴任しましたが、そうした経験を踏まえた上で現在のアクティブサイバーディフェンスに関する議論について次のように語ります。

「私はもともと軍事の専門家でしたから、私のアクティブサイバーディフェンスの理解も軍事におけるアクティブディフェンスの考え方がベースにあります。しかし今日アクティブサイバーディフェンスについて言及している方々の意見を聞くと、各々が勝手に独自の理論を展開していて、言葉は悪いですが『群盲像を撫でる』という印象が否めません」

そんな伊東氏が注目する能動的サイバー防御におけるポイントの1つに、「報告義務」があるといいます。報道によれば、政府が与党に示した法案概要の中には「重要インフラ事業者等が攻撃を受けた場合は“報告義務”がある」という内容が含まれているとのことです。

「サイバー攻撃を受けた企業・組織は、どうしても被害を隠したがります。そうしたくなる気持ちは分かりますが、国が被害状況を速やかに把握して能動的サイバー防御を講じるためには、やはり被害の報告を義務付けるしかないと思います。私は10年以上前からこれを『サイバー法定伝染病届出制度』という呼び方で提唱してきましたが、ようやくそれが実現されようとしています」

民間企業も含めた平時の備えの一環としての能動的サイバー防御

能動的サイバー防御は、有事における「武力行使」「反撃能力」ではなく、平時の際に受けたサイバー攻撃に対する防衛手段としての「対抗措置」として位置付けられています。現在の自衛隊法では「防衛大臣は総務大臣に対し、自衛隊が通信事業者に必要な措置を講じるよう求めることができる」と定めていますが、平時における規定はないため、今後能動的サイバー防御を実現するためにはこれらの法律を変更する必要があるだろうと伊東氏は指摘します。

また平時から定常的に行われるということは、民間企業にとっても能動的サイバー防御は決して無縁ではないと伊東氏は強調します。

「能動的サイバー防御は有事ではなく平時、すなわち民間の皆さんが今日から考えなければいけない課題だと言えます。これから能動的サイバー防御やアクティブサイバーディフェンスに関する議論と実践が急速に進むと考えられるので、ぜひ今から備えておくことをお勧めします」

2025年サイバー脅威予測 〜2024年の主要な脅威の振り返りと、2025年に警戒すべき脅威の予測〜

2024年は新たな感染手法やLinuxを狙った標的型攻撃、生成AIの悪用が注目され、またランサムウェアの後継グループも登場し、攻撃根絶の難しさが浮き彫りとなりました。

本資料では、2024年に顕在化したサイバー空間における脅威の傾向を踏まえ、特に大きな影響を及ぼすと考えられる4つの脅威を2025年のサイバーセキュリティ予測として取り上げています。2024年の主要な脅威を振り返りつつ、2025年に予測されるサイバー脅威について解説します。

2024年度のご自身が所属する組織におけるサイバーセキュリティ対策の検討にお役立てください。
https://www.cybereason.co.jp/product-documents/survey-report/12826/